防火墙过滤器与 MPLS 流量的匹配条件
您可以配置匹配 MPLS 流量 (family mpls
) 条件的防火墙过滤器。
-
input-list filter-names
除管理接口和内部以太网接口(或em0
)、环路接口 (fxp
) 和 USB 调制解调器接口 (lo0
umd
) 之外,所有接口均支持协议系列防火墙过滤器mpls
的和output-list filter-names
语句 -
如果数据包有多个 MPLS 标签,则过滤器只会将匹配条件应用于标签堆栈中的底部标签。
-
(QFX5100、QFX5110、QFX5200、QFX5210)如果要对环路接口应用 MPLS 过滤器,则只能在 、、第 4
tcp
层和udp
端口号字段上ttl=1
label
exp
过滤。对于 TTL,您必须在下方family mpls
显式指定ttl=1
以匹配 TTL=1 数据包。您可以配置的唯一操作是accept
、discard
和count
。您只能在入口方向应用过滤器。 -
对于具有 MPC 和 MIC 的 MX 系列路由器,您可以使用内部有效负载匹配条件基于 MPLS 标记的 IPv4 和 IPv6 参数,为 MPLS 系列应用入站和出站过滤器,并针对监控设备启用 MPLS 流量选择性端口镜像(从 Junos OS 18.4R1 版开始)。对于基于 IP 的过滤,MPLS 过滤器术语
from
参数下提供了其他匹配条件,为了支持端口镜像,过滤器术语then
参数下还提供其他操作(如端口镜像和端口镜像实例)。
表 1 介绍了 match-conditions
可以在层级配置 [edit firewall family mpls filter filter-name term term-name from]
的问题。
匹配条件 | 说明 |
---|---|
|
指定要从哪些组继承配置数据。您可以指定多个组名。您必须按继承优先级顺序列出它们。第一个组中的配置数据优先于后续组中的数据。 |
|
指定不继承配置数据的组。您可以指定多个组名。 |
|
UDP 或 TCP 目标端口字段匹配。 您可以代替数值,指定以下文本同义词之一(同时列出了端口号): |
|
数据包 MPLS 标头中的实验 (EXP) 位数或位数范围。 对于 number,您可以以二进制、十六进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所述:
注:
此匹配条件在 PTX10001-36MR、PTX10003、PTX10004、PTX10008 和 PTX10016 设备上弃用,替换为 |
|
MPLS 标头中的 EXP 位数或位数字范围不匹配。对于 注:
此匹配条件在 PTX10001-36MR、PTX10003、PTX10004、PTX10008 和 PTX10016 设备上弃用,替换为 |
|
数据包的 TOS MPLS 标头中的实验 (EXP) 位数或位数范围。 对于 number,您可以以二进制、十六进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所述:
|
|
与数据包的 TOS MPLS 标头中的 EXP 位数或位值范围不匹配。 对于 number,您可以以二进制、十六进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所述:
|
|
TOS(堆栈顶部)MPLS 报头旁边的 MPLS 报头中的实验 (EXP) 位数或位数范围。 对于 number,您可以以二进制、十六进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所述:
|
|
TOS MPLS 报头旁边的 MPLS 报头中的 EXP 位数或位数字范围不匹配。 对于 number,您可以以二进制、十六进制或十六进制格式指定一个或多个从 0 到 7 的值,如下所述:
|
|
转发类。指定 注:
在 PTX10001-36MR、PTX10003、PTX10004、PTX10008、PTX10016 路由器上 |
|
转发类不匹配。指定 |
|
接收数据包的接口。您可以根据接收数据包的接口配置匹配数据包的匹配条件。 注:
如果使用不存在的接口配置此匹配条件,则术语不会匹配任何数据包。 |
|
将接收数据包的接口匹配到指定的接口集。 要定义接口集,请将语句 注:
PTX 系列数据包传输路由器不支持此匹配条件。 有关更多详细信息,请参阅接口集上收到的过滤数据包概述。 |
|
匹配 IP版本。例如,要匹配 MPLS 标记的 IPv4 数据包,请匹配文本的同义词 |
|
数据包的 MPLS 标头中的 MPLS 标签值或标签值范围。 对于 number,您可以以十六进制或十六进制格式指定一个或多个从 0 到 1048575的值,如下所述:
注:
在 PTX10001-36MR、PTX10003、PTX10004、PTX10008 和 PTX10016 设备上,此选项将被取而代之 |
|
数据包的 TOS MPLS 标头中的 MPLS 标签值或标签值范围。 对于 number,您可以以十六进制或十六进制格式指定一个或多个从 0 到 1048575的值,如下所述:
|
|
与数据包的 TOS MPLS 报头中的 MPLS 标签值或标签值范围不匹配。 对于 number,您可以以十六进制或十六进制格式指定一个或多个从 0 到 1048575的值,如下所述:
|
|
匹配 TOS MPLS 报头旁边的 MPLS 报头的 MPLS 标签中的 MPLS 标签值或标签值范围。 对于 number,您可以以十六进制或十六进制格式指定一个或多个从 0 到 1048575的值,如下所述:
|
|
在 TOS MPLS 标头旁边的 MPLS 报头的 MPLS 报头的 MPLS 标签上,MPLS 标签上的标签值或标签值范围不匹配。 对于 number,您可以以十六进制或十六进制格式指定一个或多个从 0 到 1048575的值,如下所述:
|
label number top | bottom | offset offset-value |
匹配传入 MPLS 数据包的顶部标签、底部标签或指定偏移量(从标签堆栈的上部或底部)的标签。
注:
注:
配置命令选项在 Junos 22.3R1 版中引入。 |
|
匹配丢包优先级 (PLP) 级别。 指定单个级别或多个级别: 支持 M120 和 M320 路由器;配备增强型 CFEB (CFEB-E) 的 M7i 和 M10i 路由器;和 MX 系列路由器和 EX 系列交换机 对于具有增强型 II 灵活 PIC 集中器 (FPC) 和 EX 系列交换机的 M320、MX 系列和 T 系列路由器上的 IP 流量,您必须在 有关 注:
在 PTX10001-36MR、PTX10003、PTX10004、PTX10008、PTX10016 路由器上, |
|
与 PLP 级别不匹配。有关详细信息,请参阅 注:
PTX 系列数据包传输路由器不支持此匹配条件。 |
|
匹配 TCP 或 UDP 源端口字段。 您不能在同一 如果为 IPv4 流量配置此匹配条件,我们建议也在同一术语中配置 您可以代替数字字段,指定下 |
|
匹配数据包的 TOS MPLS 标头中的 TTL 编号或数字范围。生存时间 (TTL) 是 MPLS 标签中的 8 位字段,表示数据包在生命周期结束前离开并被丢弃的剩余时间。 对于 number,可以指定一个从 0 到 255 的值。 |
|
与数据包的 TOS MPLS 标头中的 TTL 编号或数字范围不匹配。生存时间 (TTL) 是 MPLS 标签中的 8 位字段,表示数据包在生命周期结束前离开并被丢弃的剩余时间。 对于 number,可以指定一个从 0 到 255 的值。 |
|
匹配数据包的 TOS MPLS 报头旁边的 MPLS 报头中的 TTL 编号或数字范围。生存时间 (TTL) 是 MPLS 标签中的 8 位字段,表示数据包在生命周期结束前离开并被丢弃的剩余时间。 对于 number,可以指定一个从 0 到 255 的值。 |
|
与数据包的 TOS MPLS 报头旁边的 MPLS 报头中的 TTL 编号或数字范围不匹配。生存时间 (TTL) 是 MPLS 标签中的 8 位字段,表示数据包在生命周期结束前离开并被丢弃的剩余时间。 对于 number,可以指定一个从 0 到 255 的值。 |
exp0
、 exp0-except
、 exp1
、 、 exp1-except
、 、 label0-except
label1
ttl0
label1-except
ip-version
label0
、 ttl0-except
、 和,ttl1
ttl1-except
并且仅在 PTX10001-36MR、PTX10003、PTX10004、PTX10008、PTX10016 上受支持。
表 2 介绍了可以在层级为 MPLS 防火墙过滤器 [edit firewall family mpls filter filter-name term term-name then]
配置的操作。
行动 |
说明 |
---|---|
|
接受数据包 |
|
计算通过此过滤器或术语的数据包数。 注:
我们建议为防火墙过滤器中的每个术语配置一个计数器,以便可以监控与每个过滤器术语指定条件匹配的数据包数量。 |
|
不发送互联网控制消息协议 (ICMP) 消息,以静默方式丢弃数据包 |
|
从 Junos OS 13.2X51-D15 开始,您可以将 MPLS 过滤器匹配的流量发送到双色监管器。 |
|
从 Junos OS 13.2X51-D15 开始,您可以将 MPLS 过滤器匹配的流量发送到三色监管器。 |